LayerZero、そのカナダ法人、そしてCEOブライアン・ペレグリーノは、木曜日にブリティッシュコロンビア州の第一審裁判所に提起された過失および名誉毀損の訴訟で被告として指名されました。KelpDAOの開発元であるEvercrest Technologiesは、本件を4月18日に発生したKelpの流動性リステーキングトークンrsETH 116,500枚の窃取事件に結び付けています。窃取時の価値は約2億9,200万ドルでした。

バンクーバー登記所に提出された訴状には、過失による虚偽表示の訴因が加えられ、通常の損害賠償に加えて加重損害賠償および懲罰的損害賠償が求められています。訴状の全文はこちらで閲覧できます。いずれの主張もまだ法廷で証明されていません。

Evercrest、ベリファイアのリスクについて警告を受けなかったと主張

あるチェーンでロックされたrsETHを別のチェーン上でミントする際、署名に必要なのはLayerZero自身のベリファイアのみでした。Kelpのブリッジは1-of-1の分散型ベリファイアネットワーク（DVN）を利用していました。Evercrestの訴状は、このエクスプロイトは「LayerZero自身のセキュリティインフラの失敗」であったと述べています。

Evercrestは、LayerZeroが2024年2月2日にデフォルト設定について「問題はない」と伝えていたと主張しています。また訴状によると、2024年3月21日にLayerZeroはEvercrestに対し、別のブリッジの1-of-1構成を複製するよう指示したといいます訴状に記載された2025年1月付けのLayerZeroの提案は、冗長化され監視されたベリファイアネットワークであり、侵害されたベリファイアが可能なのはせいぜい「メッセージを正しく検証できないこと」だとするものでした。

訴状によれば、USDT0には異なる内容が伝えられていました。Evercrestは、LayerZeroが2024年末から2025年初めにかけてデフォルトのベリファイア設定のリスクについてUSDT0の開発元に警告し、その開発元が独自のベリファイアを運用するようになった一方、Kelpは一度も警告を受けなかったと述べています。この警告の違いの主張が、過失による虚偽表示の訴因の中核を成しています。

4月18日のエクスプロイト後、引き出し額は6億5,000万ドルを超過

訴状は侵害の原因をLayerZero内部に位置付けています。Evercrestによると、攻撃者の侵入経路はソーシャルエンジニアリングとマルウェアによって侵害されたLayerZeroの開発者一人のコンピューターであり、rsETHのトランザクションは4月18日のUTC午後5時35分頃に送信されたといいます。

訴状によると、Kelpは攻撃後に計画していたsbUSDステーブルコインを中止し、rsETHを別のクロスチェーンセキュリティ標準へ移行させています。Kelpは5月にChainlinkのCCIPを選定したとCryptopolitanが報じています。Evercrestによると、4月以降のKelpDAOからの引き出し額は6億5,000万ドルを超えています。

名誉毀損の訴因は、ハッキングに対するLayerZeroの反応に関わるものです。LayerZeroの事後分析は、Kelpの構成が同社が推進するマルチDVNモデルに「直接矛盾する」と述べていました。Evercrestはその発言と、ペレグリーノ氏による公的な責任転嫁を訴訟に組み込んでいます。

Cryptopolitanが報じたところによると、ペレグリーノ氏は5月、Kelpの説明は「完全に事実無根」であり、KelpはLayerZeroのマルチDVNデフォルトで開始した後、自ら1-of-1へ変更したのだと述べました。新しい訴状に対してX上で応じた同氏は、本件訴訟は「引き続き実質的根拠がない」とし、自身を擁護すると述べました。

Cryptopolitanの報道によると、エクスプロイト発生時に稼働中のLayerZeroアプリコントラクトの47%が1-of-1構成で運用されており、この構成はその後LayerZeroによって禁止されました。訴訟は今後、ブリティッシュコロンビア州の法的手続きを進み、LayerZeroとペレグリーノ氏には正式な答弁書を提出する機会が与えられます。

出典：Cryptopolitan